从网站提供自解压加密下载答案

【问题标题】：Providing self-extracting encrypted downloads from a web site从网站提供自解压加密下载
【发布时间】：2011-06-28 12:36:12
【问题描述】：

我目前正在开发的网站为用户提供了一个选项，可以将他们的数据下载到加密的 zip 文件中。标准 zip 文件加密几乎毫无价值（所以我读过），所以我希望用使用 AES 加密但仍然具有自解压格式的东西来替换它。这样做有几个问题，我相信以前有人解决过：

我不知道用户使用的是什么平台（Mac、Windows 或 Linux），所以我不能只制作一个自解压的 .exe 文件并假设它可以工作。我想我需要问一下。（我已经要求输入密码了。）
我的网站在 Linux 上运行，我怀疑大多数生成自解压加密 .exe 文件的程序都希望在 Windows 机器上运行（以生成 .exe）。我想我可以设置一个运行 Windows 的虚拟机，然后让我的 Linux 服务器向该虚拟机发送一个请求（和数据）以生成 .exe，但这听起来很复杂。

【问题讨论】：

为什么不通过 SSL 提供一个未加密的自解压文件？
我们一直在问自己同样的问题。事实上，我们已经在使用 SSL。我们试图在数据离开我们的网站后为其提供保护，以帮助用户。但是，我开始认为这实际上可能弊大于利。用户解密的加密文件可能会写入某个临时文件夹，这可能会破坏整个目的，具体取决于目的是什么。我正在尝试从客户那里了解此要求的来源及其用途。

标签： ruby-on-rails encryption web download self-extracting

【解决方案1】：

ZIP 加密是垃圾争议是很久以前的事了（见here）。 ZIP 加密的主要问题是，尽管它使用 128 位 AES 密码，但仍需要用户提供密码。攻击者已经确定了 ZIP 程序如何从密码生成密钥，因此当用户输入的密码包含低熵（即简单密码）时，很容易暴力破解密钥并打开文件。如果您分配一个很大且非常随机的密码，则它被认为是非常安全的。

【讨论】：